CVE-2012-2629

概要

Axous 1.1.1 およびそれ以前には、複数のクロスサイトリクエストフォージェリ (CSRF) およびクロスサイトスクリプティング (XSS) の脆弱性が存在し、リモートの攻撃者が管理者の認証を乗っ取って、以下のリクエストを実行できる可能性があります: (1) admin/administrators_add.php の addnew アクションによる管理者アカウントの追加、(2) admin/content_pages_edit.php の page_title パラメータを介したクロスサイトスクリプティング (XSS) 攻撃の実行、(3) admin/products_category.php の category_name[] パラメータ、(4) admin/settings_siteinfo.php の site_name、(5) seo_title、または (6) meta_keywords パラメータ、(7) admin/settings_company.php の company_name、(8) address1、(9) address2、(10) city、(11) state、(12) country、(13) author_first_name、(14) author_last_name、(15) author_email、(16) contact_first_name、(17) contact_last_name、(18) contact_email、(19) general_email、(20) general_phone、(21) general_fax、(22) sales_email、(23) sales_phone、(24) support_email、または (25) support_phone パラメータ、または (26) admin/settings_email.php の system_email、(27) sender_name、(28) smtp_server、(29) smtp_username、(30) smtp_password、または (31) order_notice_email パラメータ。

• Axous 1.1.1 - Cross-Site Request Forgery / Persistent Cross-Site Scriptingエクスプロイト

  Ivano Binetti · php · 2012/05/16